问
交换机ssh配置问题
1天前提问
- 0关注
- 0收藏，81浏览
zhiliao_Gixe
九段
会被限制。
配置 ssh server acl 2001 是对所有基于 SSH 协议连接的客户端进行全局源地址过滤，包括标准 SSH、SFTP、SCP 以及 NETCONF over SSH。
排查/验证命令：
1. 查看当前 ACL 配置：display acl 2001
2. 查看 SSH 服务状态及 ACL 绑定情况：display ssh server status
3. 查看 NETCONF 会话：display netconf session
注意事项：
如果需要单独区分管理，可以采用在用户界面（VTY）下调用 ACL 的方式，或者确保全局 ACL 2001 中同时放行了网管平台（NETCONF）和网管终端（SSH）的地址。
配置 ssh server acl 2001 是对所有基于 SSH 协议连接的客户端进行全局源地址过滤，包括标准 SSH、SFTP、SCP 以及 NETCONF over SSH。
排查/验证命令：
1. 查看当前 ACL 配置：display acl 2001
2. 查看 SSH 服务状态及 ACL 绑定情况：display ssh server status
3. 查看 NETCONF 会话：display netconf session
注意事项：
如果需要单独区分管理，可以采用在用户界面（VTY）下调用 ACL 的方式，或者确保全局 ACL 2001 中同时放行了网管平台（NETCONF）和网管终端（SSH）的地址。
结论：
ssh server acl 2001只控制普通交互式 SSH（ssh 命令行登录），不会限制 netconf‑ssh（NETCONF over SSH）连接 **。 netconf‑ssh 有一套完全独立的 ACL 控制，不受ssh server acl影响。
原理说明
ssh server acl：管控普通 SSH 终端会话（客户端 ssh 命令登录设备命令行），不管控 NETCONF‑over‑SSH 子系统连接H3C。- netconf‑ssh 默认没有访问 ACL 限制，即使
ssh server acl把源 IP 拒绝，该 IP 依旧可以建立 netconf‑ssh 连接，这是 Comware V7 平台设计。
专门控制 netconf‑ssh 访问的命令
#对netconf‑ssh单独绑定基本ACL
netconf ssh acl 2001
- 该命令仅对 netconf over SSH 生效，对普通 ssh 登录无效H3C。
- 如果需要同时限制普通 SSH + netconf‑ssh，两条命令都要配置：
ssh server acl 2001
netconf ssh acl 2001
注意：
netconf ssh acl只能使用基本 ACL（2000‑2999），高级 ACL 不支持；ACL 不存在 / 无规则时允许所有 netconf‑ssh 访问H3C。
完整示例配置
system‑view
acl basic 2001
rule permit source 192.168.1.0 0.0.0.255
rule deny
quit
#限制普通ssh登录
ssh server acl 2001
#限制netconf‑ssh访问
netconf ssh acl 2001
#开启netconf over‑ssh服务
netconf ssh server enable
查看确认配置
display current‑configuration | include ssh server acl
display current‑configuration | include netconf ssh
常见踩坑
- 只配置
ssh server acl，以为同时拦截 netconf，结果第三方网管平台可以通过 netconf‑ssh 正常接入设备，存在安全风险。 netconf ssh acl不支持高级 ACL，写 3000 系列 ACL 不会生效，必须使用 2000‑2999 基本 ACL。- 该 ACL 只对新建立连接生效，已经建立的 netconf 会话不会被切断。
补充：netconf over‑telnet 也有独立 acl；ssh server ipv6 acl 同样不控制 ipv6 的 netconf‑ssh，需要
netconf ssh ipv6 acl单独配置。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论